Microsoft Partner Center HLKX驱动提交：SHA384证书触发SHA2错误求助

问题分析 #

你的新证书采用SHA384RSA签名算法（属于SHA2算法家族），但提交时仍被提示需使用SHA2签名，说明签名流程或配置存在算法混用、残留旧签名的情况，以下是具体修复步骤：

修复步骤 #

• 明确指定签名工具的SHA384参数
  使用signtool签名时，必须同时指定文件摘要和时间戳的哈希算法为SHA384，避免默认值导致的算法不匹配。示例命令：
  signtool sign /f "新证书路径.pfx" /p 证书密码 /fd SHA384 /tr http://timestamp.digicert.com /td SHA384 "待签名驱动.sys"

• 验证并重新签名驱动包内所有文件
  驱动包中可能存在旧签名残留，需逐一检查：

  • 用命令signtool verify /pa /v "文件路径"查看文件的签名算法，确认是否为SHA384
  • 对所有未使用新证书SHA384签名的文件（包括inf、cat、sys等）重新执行签名命令

• 确认Partner Center的证书配置

  • 进入Partner Center的「硬件」->「驱动程序」->「证书」页面，确保新证书标记为活动状态
  • 提交驱动时，确认选择的是新的SHA384证书，而非旧的过期证书

• 重新生成SHA384哈希的CAT文件
  若使用Inf2Cat生成CAT文件，需指定SHA384哈希算法，避免沿用旧的SHA256配置：
  Inf2Cat /driver:"驱动文件目录" /os:10_x64 /hash SHA384
  生成新CAT文件后，立即用新证书重新签名。

• 清理本地构建缓存

  • 删除项目的bin、obj等构建目录，重新编译驱动
  • 执行certutil -urlcache * delete清除Windows本地签名缓存，避免旧签名干扰

内容的提问来源于stack exchange，提问作者Helge Klein